Безопасность CRITICAL

Уязвимость в VMmanager 6: что произошло у хостеров и что делать владельцам VPS

26 октября 2026 · Редакция KupiVPS

17 октября 2026 года хостинг-провайдер FirstVDS сообщил, что злоумышленники получили доступ к части его инфраструктуры через уязвимость в VMmanager 6 — платформе управления виртуализацией компании ISPsystem (входит в «Группу Астра»). ISPsystem подтвердила инцидент, связанный с «уязвимостью в одной из сборок VMmanager 6». Это одна из самых заметных атак на российский хостинг за год: VMmanager используют десятки провайдеров VPS, в том числе из нашего каталога.

Что случилось

По данным FirstVDS, атакующие запустили на части физических узлов программу для кражи данных: она подключала диски клиентских виртуальных серверов в режиме «только чтение» и копировала с них пароли, SSH- и API-ключи, токены облачных сервисов, конфигурационные файлы, историю команд, криптокошельки и пользовательские файлы. В персональных уведомлениях провайдер указал окно, когда файлы могли быть доступны посторонним: 17 октября с 12:27 до 22:34 по Москве. На части узлов нашли закрепление — скрытые сервисы, замаскированные под системные процессы.

Технические детали уязвимости, вектор первоначального проникновения и конкретные затронутые сборки публично не раскрыты, идентификатора CVE пока нет: вендор объясняет это тем, что подробности до завершения обновлений помогут атакующим. ISPsystem выпустила промежуточное исправление; FirstVDS по итогам собственного разбора сообщил, что вендор считает уязвимость закрытой. Другие провайдеры сообщали о заражении панелей в период с 11 по 16 октября.

Кого касается

Хостеров на VMmanager 6 — любая сборка до исправления; панель и узлы виртуализации, доступные из интернета, были в зоне риска.
Клиентов таких хостеров — даже если ваш VPS не взламывали напрямую: данные копировались с дисков виртуальных машин через узел, то есть изнутри гипервизора, и обычная защита внутри VPS (файрвол, fail2ban) от этого не спасает.
Всех, кто хранил на VPS секреты в открытом виде — ключи, токены, кошельки, сохранённые пароли браузера.

Что делать

Если вы клиент хостера на VMmanager (FirstVDS, а также другие провайдеры — уточните у поддержки, какая панель используется):

Считайте скомпрометированными все секреты, лежавшие на сервере: смените SSH-ключи, пароли, API-токены, ключи облаков; отзовите старые.
Криптокошельки с сервера — переведите средства на новые адреса, созданные на заведомо чистом устройстве.
Проверьте сервер на закрепление: неизвестные пользователи, новые ключи в ~/.ssh/authorized_keys, задания cron, сервисы systemd, процессы с незнакомыми именами. При сомнениях — переустановка из чистого образа.
Включите 2FA в биллинге хостера и смените пароль от личного кабинета.

Если вы сами администрируете VMmanager 6:

Установите исправление от ISPsystem и следите за бюллетенями вендора — полный перечень исправленных сборок ещё публикуется.
Закройте доступ к платформе и узлам виртуализации для всех, кроме доверенных администраторов; SSH к узлам и панели — только с доверенных адресов.
Временно ограничьте публичные точки входа панели (веб-интерфейс, VNC-консоли) до проверки узлов — так поступил ряд провайдеров.
Проверьте узлы на посторонние процессы и исходящие соединения на незнакомые адреса; FirstVDS заблокировал IP, на который уходили данные.

Источники: CNews, SecurityLab, Хабр: технический разбор FirstVDS.

Источник: CNews / SecurityLab / Хабр